React2Shell

أداة CLI + قوالب Nuclei للكشف عن ثغريتي RCE حرجتين في مكونات خادم React وإجراءات خادم Next.js.
أُعيد كتابة الماسح بناءً على الثغرة المُفصح عنها react2shell.

نظرة عامة على الثغرة

CVE-2025-55182 – إلغاء تسلسل مكونات خادم React يؤدي إلى RCE
يسمح عيب في عملية إلغاء تسلسل React Flight للمراجع المُتحكم بها من المستخدم بأن تُحل إلى دوال الخادم، مما يؤدي إلى تنفيذ كود عن بُعد.
يؤثر على React 19.0.0–19.2.0.

CVE-2025-66478 – إجراءات خادم Next.js RCE
يرث Next.js نفس سلوك إلغاء التسلسل غير الآمن عند التعامل مع إجراءات الخادم، مما يؤدي إلى نفس مسار RCE.
يؤثر على Next.js 14.3.0-canary.77 إلى 16.0.6.

كلا الثغرتين مصنفتان بـ CVSS 10.0 بسبب سهولة الاستغلال وتأثير RCE الكامل. توفر الإصدارات المُحدّثة من React و Next.js تصحيحات.

الماسح

• اختبار إثبات المفهوم RCE أو اكتشاف آمن غير استغلالي
• البصمة الإصدارية فقط لتجنب الفحوصات غير الضرورية
• تأكيد RCE خارج النطاق باستخدام ردود DNS/HTTP
  (متوافق تمامًا مع Burp Collaborator و interactsh وغيرها)
• وضع تجاوز WAF مع حشوة قابلة للتعديل
• متغيرات متعددة للحمولة لاختبار التهرب
• قوالب Nuclei مُضمنة

الاستخدام

البصمة فقط:

python3 scanner.py -u https://example.com --fingerprint-only

كشف الرد: (استخدم أي مستمع DNS/HTTP، بما في ذلك Burp Collaborator):

python3 scanner.py -u https://example.com --callback-url https://your-id.oast.pro/r2s

سير عمل Nuclei:

nuclei -u https://example.com -w nuclei/react2shell-workflow.yaml

الاعتمادات البحثية

اكتشاف الثغرة وأبحاث إثبات المفهوم بواسطة:

• maple3142
• فرق الأمن في Wiz و Palo Alto Unit 42 و Tenable و Akamai

المراجع

• Wiz: https://www.wiz.io/blog/critical-vulnerability-in-react-cve-2025-55182
• Unit 42: https://unit42.paloaltonetworks.com/cve-2025-55182-react-and-cve-2025-66478-next/
• Tenable: https://www.tenable.com/blog/react2shell-cve-2025-55182-react-server-components-rce
• Akamai: https://www.akamai.com/blog/security-research/cve-2025-55182-react-nextjs-server-functions-deserialization-rce